パナソニックのグループ会社で、約33万4千人分の個人情報が、社内で利用禁止の外部生成AIにアップロードされました。攻撃もウイルスもなく、送ったのは社内のプロジェクトメンバーです。

「AIに貼っただけで、なぜ漏えい扱いになるのか」「学習に使われない設定なら問題ないのでは」。この記事では、公式発表と報道で事実を確かめたうえで、生成AIのデータの流れ、法律上の扱い、同じ時期の他社事例、そして私たちが明日からできることまでを整理します。

何が起きたのか

発表したのは、パナソニック ホールディングス傘下のパナソニック オペレーショナルエクセレンス（PEX、大阪府門真市）です。子会社のパナソニック デジタルと進めていた人事情報システム導入プロジェクトで、メンバーが2026年4月時点の人事データの一部を、社内で利用を禁止している外部の生成AIサービスにアップロードしました。会社自身が「外部からの不正な操作ではなく、ルール違反」と明記しています。

時系列

時期 出来事
2026年9月下旬 メンバーが外部生成AIにデータをアップロード（日本経済新聞の報道）
発覚直後 本人がチャット履歴と業務PC内の対象データを削除
9月29日 個人情報保護委員会へ報告
10月23日 公表（本人通知の代替措置として）。専用窓口を設置
10月25日 AI事業者側の30日保持期間が終了し、データは事業者内にも残らないとされる

誰の、どんな情報か

区分 人数 含まれる情報
元従業員（1978〜2026年度の退職者） 約17万8千人 社員番号、住所、電話番号、メールアドレス（氏名なし）
従業員 約7万5千人 社員番号、住所、電話番号、メールアドレス（氏名なし）
従業員の家族 約5万5千人 緊急連絡先として登録された氏名、住所、電話番号、メールアドレス
元従業員の家族（2016年以降の退職者分） 約2万6千人 同上
合計 約33万4千人

意外なのは、本人の分には氏名がないのに、家族の分には氏名が入っている点です。緊急連絡先として従業員が登録した家族は、自分が登録されたことすら意識していない可能性があります。半世紀近く前に退職した人の住所まで含まれていました。

公開や不正利用の被害は確認されていません。一方で、利用したAIサービスの名前、アップロードの目的、発覚のきっかけは公表されていません。

「学習されない」と「保存されない」は別の話

生成AIに入力した文章やファイルは、画面の中だけで処理されるわけではありません。AI事業者のサーバーに送られ、一定期間そこに保存されます。

PEXが事業者に照会して得た回答は2点です。学習に使う機能は無効だったので、他の利用者への回答に使われることはない。ただし利用者が削除しても、セキュリティと法令順守のため削除日から30日間は保持される、というものです。

社員のPCから事業者のサーバーへ送信されたデータは、AI学習への利用は無効でも、削除後30日間は事業者側に保持される
生成AIに送ったデータの行き先（今回の事業者回答より）

「学習されない」は、他人への回答に混ざらないという意味にすぎません。送った時点で、データは会社が自分で管理できない場所に置かれています。手元のチャット履歴を消しても、事業者側の保存には届きません。

学習の扱いや保存期間は、サービスやプランによって異なります。個人向けプランと法人向けプランで初期設定が違うことも多く、「学習オフだから大丈夫」は、確認すべき項目のひとつにすぎません。

被害がなくても、なぜ報告と公表なのか

2022年4月の改正個人情報保護法で、一定の漏えい等は「努力義務」から「法的義務」になりました。個人情報保護委員会への報告と本人への通知が必要になるのは、次の4つのどれかに当たる場合です（厚生労働省掲載の委員会事務局資料）。

  1. 要配慮個人情報（病歴など）を含む
  2. 財産的被害のおそれがある
  3. 不正の目的によるおそれがある
  4. 本人の数が1,000人を超える

ポイントは、漏えいが確定していなくても「発生したおそれ」の段階で対象になることです。今回は33万人超なので4つ目に当たります。報告には期限もあり、速報は事態を知ってからおおむね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）とされています。

本人全員への個別通知が難しい場合は、事案の公表と問い合わせ窓口の設置で代えることができます。PEXが公表を「本人通知の代替措置」と位置付け、退職者・家族向けのフォームとフリーダイヤルを設けたのはこのためです。1978年までさかのぼる退職者に、一人ずつ連絡するのは現実的ではありません。

委員会は2023年6月の注意喚起で、個人データを含む内容を生成AIに入力する事業者に対し、事業者側がそれを機械学習に使わないことなどを十分確認するよう求めていました。つまり「学習オフ」は、法的にも最低限の確認事項という位置付けです。

パナソニックだけの話ではない

生成AIに業務データを入れてしまう事案は、許可していても禁止していても起きています。

時期 会社 何が起きたか その後
2026年10月 パナソニック オペレーショナルエクセレンス 利用禁止の外部生成AIに、人事データ約33万4千人分をアップロード 利用管理ルールの見直しと教育強化を表明
2026年9月 RIZAPグループの子会社 集計作業中の社員が、個人で使う生成AIに特定保健指導の対象者データを誤ってアップロード。疾患情報など要配慮個人情報を含み、24時間以内に削除 許可外AIの業務利用禁止を再周知。社員本人の申告で判明したと委託元の健保組合が説明
2023年4〜5月 サムスン電子 ChatGPTの社内利用を認めた約3週間後、エンジニアが機密ソースコードを入力するなど少なくとも3件が発生（GIZMODO JAPAN） 生成AIツールの社内利用を禁止（Forbes JAPAN）

サムスンは「許可したら起きたので禁止した」、パナソニックは「禁止していたのに起きた」ケースです。禁止の一文だけでは、現場の「ちょっと便利に済ませたい」を止めきれないことが分かります。

RIZAPの件が本人の自己申告で発覚した点も見逃せません。間違えたと言い出しやすい職場ほど、削除や事業者への照会を早く始められます。

禁止だけでは防げない：会社側に必要な仕組み

会社が把握・許可していない生成AIを業務で使うことは「シャドーAI」と呼ばれます。担当者1人を責めても、同じことはまた起きます。問われるのは、ルールを守れる仕組みがあったかどうかです。

皮肉なことに、パナソニックグループは生成AI活用の先進企業でもあります。社内の生成AI基盤の利用者は約8万人に広がり、月間約29万時間の業務効率化（利用者アンケートに基づく推計）を発表していました（ディスカバリーズのプレスリリース）。使い慣れた人が増えるほど、手元の外部サービスで「さっと片付けたい」場面も増えます。

会社として整えたいのは、次の4つです。

  • 許可した道具を、使いやすく用意する：法人契約で学習オフ、保存期間と削除の条件まで確認したサービスを用意する。社内AIが使いにくいと、人は外に流れます。
  • 技術で止める：未許可AIサービスへのアクセス制限や、個人情報の送信を検知・遮断する仕組み（DLPなど）を入れる。
  • 本番データを作業に使わない：システム導入やテストでは、マスキングしたデータやダミーデータを標準にする。今回のアップロード目的は公表されていませんが、導入プロジェクトはデータ移行や整形の作業が多く、本番データに触れる機会が増えます。
  • 言い出しやすくする：間違えた人がすぐ申告できる窓口と雰囲気をつくる。早く分かれば、削除も照会も早く進みます。

AIの管理体制を組織的に整える枠組みとしては、国際規格ISO/IEC 42001（AIマネジメントシステム）もあります。RIZAPもAIマネジメントシステムの導入検討を表明しています。

私たちが明日からできること

今回の件は、誰にでも起こりうる「うっかり」です。取引先の名刺一覧、顧客リスト、親戚の住所録。便利だからとそのまま貼った経験がある人は少なくないはずです。

ちょっとクイズ

AIに貼ってもいいのはどれでしょう？

  1. 親戚の住所録をそのまま貼って、年賀状の宛名を整えてもらう
  2. お客様の名前と電話番号の一覧を貼って、表にまとめてもらう
  3. 名前・住所・番号を消した文章だけを貼って、読みやすく直してもらう

正解は 3だけ です。1も2も、他人の個人情報をそのまま外部に送っています。親戚は身内でも「自分以外の人の情報」で、本人は送っていいと言っていません。今回の事案で、家族の氏名まで含まれていたのと同じ構図です。

生成AIを使うときの4つのルール

  1. 他人の個人情報は貼らない
  2. 名前・住所・番号は、消してから使う（「Aさん」「〇〇市」などに置き換えれば、便利さはそのまま）
  3. 会社では、会社が認めたAIだけを使う。多少使いにくくても、会社が管理できるのはそちら
  4. 「学習されない設定」でも安心しきらない。迷ったら、貼る前に上司や担当部署に聞く

まとめ

  • 対象は約33万4千人分。退職者とその家族も含まれ、家族の分には氏名も入っていた
  • 外部攻撃ではなく、社内メンバーによる利用禁止AIへのアップロード
  • 学習には使われない設定だったが、事業者側では削除後30日間保持されていた（10月25日以降は残らないとされる）
  • 被害は確認されていない。AIサービス名と発覚のきっかけは未公表
  • 会社は個人情報の扱いと生成AIの利用管理を見直し、教育を強化するとしている

AIは便利な道具です。貼る前に「これは誰の情報か」と一呼吸おくこと。その一呼吸が、誰かの住所を守ります。

出典

Smart AI Watcherwww.intelligentworks.co.jp